Een jury in Manhattan heeft Jonathan Spalletta schuldig bevonden aan computerfraude en witwassen voor het uitvoeren van twee hacks in 2021 op de gedecentraliseerde cryptobeurs Uranium Finance, waarbij meer dan $50 miljoen werd buitgemaakt, maakten federale aanklagers woensdag bekend. Het vonnis behandelt een exploit die volledig werd uitgevoerd via transacties tegen een slim contract — de zelfuitvoerende code waarmee handel op gedecentraliseerde beurzen wordt afgewikkeld — als gewone computerfraude, een kader dat de aanklagers zelf benadrukten bij de aankondiging van de veroordeling.

Spalletta (36) uit Rockville, Maryland, werd in maart aangeklaagd wegens de exploits. Hij werd na een proces van zes dagen voor de Amerikaanse districtrechter Jed S. Rakoff op alle punten schuldig bevonden en riskeert maximaal 10 jaar gevangenisstraf voor computerfraude en 20 jaar voor witwassen; de rechtszaak over de strafmaat voor Rakoff moet nog plaatsvinden.

Het parket van de aanklager voor het zuidelijke district van New York kondigde het vonnis aan in een bericht op X:

Jonathan Spalletta convicted for defrauding crypto exchange of over $50 million in hacks: "Our prosecutors of the Office and our agency partners have done outstanding work to ensure Spaletta's virtual world criminal conduct ended in his real-world criminal conviction," said USA… — US Attorney SDNY (@SDNYnews) October 7, 2026

Twee exploits met drie weken tussenruimte

Bij de eerste hack, op 8 april 2021, herhaalde Spalletta een reeks transacties met Uranium's slimme contract om veel meer beloningen op te nemen waarop hij recht had, waarbij hij ongeveer $1,4 miljoen buitmaakte, aldus de aanklagers. Vervolgens drong hij er bij de beurs op aan om ongeveer $386.000 te mogen houden als wat aanklagers een schijncorrectie-uitkering — verwijzend naar de industriële praktijk om onderzoekers die te goeder trouw kwetsbaarheden melden te betalen — noemden, in ruil voor het teruggeven van de rest.

Twee weken na die hack schreef hij aan een andere: "I did a crypto heist of $1.5MM a couple of weeks ago . . . There was a bug in a smart contract, and I exploited it . . . Crypto is all fake internet money anyway."

Op 28 april 2021 maakte hij misbruik van een fout in de manier waarop het contract opnames over verschillende liquiditeitspools berekende — de gedeelde reserves van door gebruikers gestorte middelen waarop gedecentraliseerde beurzen vertrouwen om handel mogelijk te maken — waarbij hij ongeveer $53,3 miljoen buitmaakte en Uranium door geldgebrek deed sluiten.

"Spalletta's crimes cost real people to lose real money—over $50 million dollars—and caused an entire crypto platform to collapse," zei de Amerikaanse aanklager Jamie McDonald.

Black Lotus, Pokémon-kaarten en een Romeinse munt

Spalletta witte het gestolen geld via een reeks transacties, waaronder de cryptomixer Tornado Cash, dat munten samenvoegt en door elkaar schudt om de oorsprong te verhullen, voordat hij de opbrengst besteedde aan verzamelobjecten waaronder Magic: The Gathering- en Pokémon-kaarten, aldus de aanklagers.

Zijn Magic: The Gathering-aankopen omvatten een Black Lotus, een van de meest gewilde kaarten in het spel, voor ongeveer $500.000, evenals 18 verzegelde pakken Alpha Booster-kaarten uit de debuutset van het spel uit 1993 voor ongeveer $1,5 miljoen. Voor Pokémon betaalde hij ongeveer $750.000 voor een complete basisset uit de eerste druk van de oorspronkelijke uitgave en ongeveer $257.500 voor een verzegelde doos met boosterpakken van de eerste druk.

Hij kocht ook een Eid Mar denarius — een Romeinse munt geslagen in 42 v.Chr. onder Brutus ter nagedachtenis aan de moord op Julius Caesar — voor ongeveer $601.545, en een stuk stof van het originele vliegtuig van de gebroeders Wright dat Neil Armstrong naar de maan bracht, voor ongeveer $137.500.

De Black Lotus, het stof en enkele munten werden bij een house-search met een huiszoekingsbevel in beslag genomen uit zijn woning, aldus de aanklagers. In februari 2025 namen de autoriteiten ook cryptocurrency in beslag die afkomstig was van de Uranium-hacks, met een waarde van ongeveer $31 miljoen ten tijde van de inbeslagname — een herstel dat plaatsvond ondanks de verhulling die de mixerstap juist moest bieden.

Aanklagers hebben iedereen die meent slachtoffer te zijn van de Uranium-hacks gevraagd contact op te nemen met Homeland Security Investigations via UraniumVictims@hsi.dhs.gov, een oproep die aangeeft dat de autoriteiten nog steeds werken aan het identificeren van alle getroffenen.

De volledige aankondiging van het parket van de aanklager voor het zuidelijke district van New York is beschikbaar op de website van het Ministerie van Justitie. De zitting over de strafmaat voor Rakoff is de volgende mijlpaal in een zaak die begon met twee exploits met drie weken tussenruimte in het voorjaar van 2021.